Windows NT Terminal Server Edition

Kapitel 4: Windows NT - Zugriffsrechte auf Dateien und Verzeichnisse

Letzte Änderung: 18.10.98 von B. Tritsch

Zurück zum Inhalt

Die Bereitstellung von Datei-Services und Plattenressourcen ist eine der Hauptaufgaben von Netzwerkservern. Damit die Festplattenkapazität eines Servers für die Anwender nutzbar wird, muß Sie vom Administrator freigegeben werden.

Auch auf einem lokalen NT-Computer ist der Zugriff auf Dateien und Verzeichnisse über die Vergabe von Rechten geregelt.

Grundkonzepte der Zugriffsrechte:

• C2-Sicherheitsstandard.
• Benutzerbezogen.
• Vier-Augen-Prinzip.
• Berechtigungen definiert und geändert durch Dateimanager.
• Unterschiedliche Berechtigungen für Verzeichnisse und Dateien.

Dateisysteme unter Windows NT

Windows NT ist in der Lage über sein Ein-/Ausgabesystem mehrere Dateisysteme parallel zu verwalten. Hierbei werden die Treiber für die Dateisysteme wie andere Gerätetreiber behandelt. Dies dient zum einen der Abwärtskompatibilität und zum anderen der Integration verschiedener Funktionalitäten.

• FAT - File Allocation Table: DOS Dateisystem und Diskettenformat unter Windows NT. Für Dateinamen wird die 8.3-Konvention verwendet, die 8 Buchstaben vor dem Punkt und 3 Buchstaben nach dem Punkt erlaubt. Groß- und Kleinschreibung spielen keine Rolle. Die maximale Dateigröße beträgt 4 GBytes. Die Wurzel eines FAT-Verzeichnisses kann maximal 512 Einträge beinhalten.
• FAT32: Das erweiterte FAT-Dateisystem von Windows 95 mit Unterstützung von langen Dateinamen und Unterscheidung von Groß- und Kleinschreibung. FAT32 wird nicht von der Version 4, jedoch von der Version 5 von Windows NT unterstützt.
• NTFS - New Technology File System: Dies ist das speziell für Windows NT entwickelte 64-Bit-Dateisystem mit starkem Fokus auf Sicherheit. Die Dateinamen können bis zu 255 Zeichen in 16-Bit-Unicode enthalten, wobei Groß- und Kleinschreibung beibehalten werden. Unicode erlaubt die Verwendung von erweiterten Zeichensätzen, z.B. für chinesische, japanische, griechische oder arabische Zeichen. Die theoretisch maximale Dateigröße beträgt 16 ExaBytes (= 17 Millionen GBytes!).
• CDFS – CD File System: Dateisystem für CDs, das auch lange Dateinamen erlaubt. Es können jedoch auch CDs verwendet werden, die Kompatibel zum CD-Standard ISO9669 sind.
• HPFS - High Performance File System: Das OS/2-Dateisystem wurde bis einschließlich der Windows NT Version 3.51 direkt unterstützt. Ab Windows NT 4.0 müssen die zugehörigen Treiberdateien zusätzlich installiert werden. Die maximal Dateigröße beträgt 4 GBytes.

Lokale Zugriffsrechte

Das NT-Dateisystem NTFS ist den meisten anderen Dateisystemen im Bezug auf seine Sicherheitskonzepte weit überlegen. Betrachtet man die Eigenschaften einer Datei, so zeigen sich dort neben der Größe und dem Besitzer auch die Zugriffsberechtigungen. Ähnliches gilt für Verzeichnisse, wobei die die Basisberechtigungen durch sechs Attribute bestimmt werden:

• R – Read (Lesen).
• W – Write (Schreiben).
• D – Delete (Löschen).
• X – Execute (Ausführen).
• P – Change Permission (Ändere Berechtigung).
• O – Take Ownership (Übernehme Besitz).

Diese Attribute können in Gruppen zusammengfaßt werden, um eine vereinfachte Verwendung zu erlauben.

• No Access (Kein Zugriff): Der Benutzer hat keinen Zugriff auf die Ressource.
• List (Anzeigen): R – Der Benutzer kann Verzeichnisse und Dateinamen ansehen.
• Read (Lesen): RX – Der Benutzer kann Dateien in Verzeichnissen lesen und Programme ausführen.
• Add (Hinzufügen): WX – Der Benutzer kann Dateien zu Verzeichnissen hinzufügen, kann jedoch nicht den Inhalt des Verzeichnisses lesen oder verändern.
• Add & Read (Lesen & Hinzufügen): RWX – Der Benutzer hat die Berechtigung zu lesen und hinzuzufügen.
• Change (Ändern): RWXD – Der Benutzer hat das Recht, Dateien zu lesen, hinzuzufügen, zu löschen und den Inhalt zu verändern.
• All (Vollzugriff): RWXDPO – Der Benutzer hat sämtliche Rechte.

Diese Rechte können auf ein Verzeichnis angewandt werden. Für eine Datei sind sie ein wenig eingeschränkt (Kein Zugriff, Lesen, Ändern und Vollzugriff).

Bei Verzeichnissen werden im Gegensatz zu Dateien zwei Berechtigungen verwendet, z.B. (RX)(RX). Die erste Berechtigung betrifft den Zugriff auf das Verzeichnis selbst. Die zweite Berechtigung wird für neu erzeugte Objekte verwendet, d.h. für neue Verzeichnisse oder Dateien.

Die P- und die O-Attribute haben sehr spezielle Bedeutung für die Sicherheit eines Systems:

• Nur ein Benutzer, der das P-Attribut zur Änderung der Berechtigung für einVerzeichnis oder eine Datei besitzt, kann die Sicherheitseinstellungen aktiv modifizieren.
• Nur ein Benutzer, der das O-Attribut zur Änderung des Besitzes hat, kann ein Verzeichnis oder eine Datei in Besitz nehmen.
• Der Besitzer eines Verzeichnisses oder einer Datei kann sich immer das P-Attribut zuordnen und damit auch alle anderen Attribute ändern.
• Ein Administrator hat immer das Recht, Besitzer eines Verzeichnisses oder einer Datei zu werden. Danach kann sich der Administrator das P-Attribut geben und dadurch auch alle anderen Attribute aktiv verändern.

Administratoren oder Benutzer, die für ein Verzeichnis oder eine Datei das O-Attribut besitzen, können dieses Objekt zwar in Besitz nehmen, sie können es aber nicht aktiv zurückgeben.

Auf einem NTFS-Datenträger hat jede Datei und jedes Verzeichnis einen eindeutigen Besitzer. Dieser kann selbständig jederzeit alle vergebenen Berechtigungen für einzelne Benutzer oder Gruppen von Benutzern individuell anpassen.

Freigaben für den Netzwerkzugriff

Das Sharing (Exportieren, Teilen) von Verzeichnisstrukturen unter Windows NT ist eine einfache Möglichkeit Festplatten-Ressourcen über das Netzwerk bereitzustellen. Für die vollständige Funktionalität insbesondere auf Servern sollte immer das Dateisystem NTFS gewählt werden, obwohl auch andere Dateisysteme wie FAT hierfür genutzt werden können. Das Einrichten von Freigaben erfolgt in der Regel über den Datei-Manager, den Explorer oder Shell-Kommandos. Die Shares beinhalten dann folgende Eigenschaften:

• Die Vergabe von Shares ist auf sehr wenige verschiedene Zugriffsarten beschränkt (kein Zugriff, Lesen, Ändern, Vollzugriff).
• Die Vergabe von Shares wirkt sich nur für die Nutzung über das Netzwerk aus und nicht für lokale Benutzer.
• Die Freigabe kann explizit einzelnen Benutzern oder Benutzergruppen mit individuellen Zugriffsarten zugeteilt werden.
• Administrative Standard-Freigaben auf jedem NT-System sind mit Hilfe des $-Zeichens verborgen: ADMIN$ (NT Systemverzeichnis) C$ (die Wurzel des Laufwerks C), D$, E$, ...
• Das Freigeben eines Verzeichnisses impliziert automatisch die Freigabe aller Unterverzeichnisse.

Für die Vergabe von Freigabenamen gelten im Grunde die selben Regeln wie für lange Dateinamen unter Windows NT, jedoch mit einigen kleinen Ausnahmen. Es können die Zahlen von 0 bis 9, die Buchstaben A bis Z und folgenden Sonderzeichen verwendet werde: $ % ‘ - _ @ ~ ! ( ) ^ # &

Sechs Zeichen, die für Dateinamen verwendet werden können, lassen sich jedoch nicht bei Freigabenamen einsetzen: + , ; = [ ]. Leerzeichen sind wiederum erlaubt.

Obwohl Windows NT Freigabenamen mit maximal 80 Zeichen erzeugen kann, sollten die Namen deutlich kürzer sein. Dies folgt nicht zuletzt aus der Tatsache, daß Windows 95 nur Freigabenamen verarbeiten kann, die maximal 12 Zeichen lang sind. Für DOS und Windows für Workgroups muß sogar die 8.3-Konvention eingehalten werden.

Die Vergabe von Shares kann über den Benutzer-Manager reglementiert werden und sich möglicherweise nur auf Administratoren beschränken.

Zum nächsten Kapitel